Conformidade AML e sinatura electrónica en finanzas: guía 2026

A conformidade AML (Anti-Money Laundering) e a sinatura electrónica son dous pilares agora indisociables para os establecementos financeiros, as plataformas de pagamento e as fintechs que operan en Europa. Dende a entrada en vigor da 6ª directiva anti-branquemento (6AMLD) e a progresión do paquete regulatorio AML 2024-2025 da Unión Europea — incluíndo a creación da Autoridade Europea de Loita contra o Branquemento (AMLA) —, os actores obrigados deben demostrar un nivel de diligencia razoable sen precedentes. A sinatura electrónica, cando se implanta correctamente, non é simplemente unha ferramenta de desmaterialización: convértese nun instrumento de conformidade por dereito propio. Este artigo vos guía a través das obrigacións AML aplicables á sinatura electrónica, os niveis de seguridade requiridos, as solucións técnicas dispoñibles e as boas prácticas a adoptar para 2026.

Por que a sinatura electrónica está no corazón da conformidade AML

A loita contra o branquemento de capitais repousa en tres pilares fundamentais: o coñecemento do cliente (KYC — Know Your Customer), a vixilancia das transaccións e a conservación das probas. A sinatura electrónica intervén directamente nos dous primeiros e no terceiro apartado.

A sinatura electrónica como proba de identidade verificada

No marco AML, o establecemento da relación comercial é o momento máis exposto. O artigo 13 da directiva 2015/849/UE (4AMLD, tal como foi modificada pola 5AMLD) impón unha verificación rigorosa da identidade do cliente antes de calquera establecemento de relación contractual. A sinatura electrónica avanzada ou cualificada — no sentido do regulamento eIDAS nº 910/2014 — garante que o asinante é realmente a persoa que pretende ser, grazas a un proceso de autenticación e identificación documentada. Unha sinatura electrónica cualificada (SEQ), emitida por un prestador de servizos de confianza (QTSP) que figure na lista de confianza europea, ofrece o nivel de seguridade «elevado» tal como se define no regulamento eIDAS 2.0 (regulamento UE 2024/1183 entrado en vigor en maio de 2024). Este nivel é compatible coas exixencias de diligencia debida reforzada impostas para os clientes de risco elevado.

Trazabilidade e pista de auditoría conforme ás exixencias AML

A regulación AML esixe a conservación dos documentos KYC durante un período mínimo de 5 anos despois do fin da relación comercial (artigo 40 da directiva 2015/849). A sinatura electrónica xera nativamente unha pista de auditoría completa: marca de tempo certificada, hash do documento, identidade do asinante, rexistros de acceso e certificados criptográficos. Esta trazabilidade asegurada polo marcado de tempo electrónico responde directamente ás exixencias de conservación e proba impostas polas autoridades de supervisión — ACPR en Francia, BaFin en Alemaña, FCA no Reino Unido.

Integración nos procesos de onboarding dixital

As fintechs e neobancas teñen dixitalizado masivamente o seu onboarding. Segundo o informe McKinsey Digital Banking 2025, máis do 78 % das novas contas bancarias europeas se abren completamente en liña. Neste contexto, a sinatura electrónica integrada nun percurso de onboarding KYC permite:

• Recoller o consentimento informado do cliente sobre as condicións xerais e a política de tratamento de datos (RGPD)
• Formalizar a autorización de recollida de documentos de identidade e xustificantes de domicilio
• Finalizar os contratos de apertura de conta cun valor probatorio máximo
• Arquivar todo o expediente nun cofre dixital auditable

Para os establecementos obrigados que buscan reforzar o seu dispositivo, a guía completa da sinatura electrónica en empresa constitúe un punto de partida estruturante.

Os niveis de sinatura requiridos segundo o perfil de risco AML

Unha das preguntas máis frecuentes dos equipos de conformidade refírese ao nivel de sinatura electrónica a desplegar segundo o nivel de risco do cliente. O enfoque por riscos, no corazón do dispositivo AML, aplícase tamén á elección tecnolóxica.

Sinatura electrónica simple e avanzada: casos de uso a risco estándar

Para os clientes identificados como que presentan un risco estándar — persoas físicas residentes nun Estado membro da UE, sen factores de risco particulares —, una sinatura electrónica avanzada (SEA) é xeralmente suficiente. A SEA repousa en datos de creación de sinatura vinculados ao asinante de xeito unívoco, créase a partir de datos que só o asinante pode usar baixo o seu control exclusivo, e permite detectar calquera modificación posterior do documento asinado (artigo 26 do regulamento eIDAS). Solucións conformes eIDAS como Certyneo permiten desplegar este nivel de sinatura con una verificación de identidade en tempo real por recoñecemento documentario (OCR + control de vida biométrica), o que satisfai ás exixencias de diligencia debida estándar.

Sinatura cualificada: obrigación para a diligencia debida reforzada

Cando o perfil de risco do cliente é elevado — persoas politicamente expostas (PPE), cidadáns de países terceiros de risco elevado listados pola Comisión Europea, transaccións de importe significativo —, a diligencia debida reforzada (Enhanced Due Diligence, EDD) se impón. Neste contexto, só una sinatura electrónica cualificada garante o nivel de seguridade requirido. A SEQ implica o uso dun dispositivo de creación de sinatura cualificado (QSCD) e un certificado cualificado entregue por un QTSP acreditado. Para comprender mellor as diferenzas entre estes niveis e escoller a solución adaptada, o comparativo das solucións de sinatura electrónica dispoñible en Certyneo ofrece unha análise estruturada das ofertas do mercado en 2026.

O papel da verificación de identidade a distancia (eIDAS 2.0 e carteira EUDI)

O regulamento eIDAS 2.0 (UE 2024/1183) introduce a carteira de identidade dixital europea (EUDI Wallet), cuxo despliegue está previsto antes de fin de 2026 en todos os Estados membros. Esta carteira permitirá aos cidadáns presentar atributos de identidade verificados (nacionalidade, data de nacemento, enderezo) de xeito descentralizado, sen ter que enviar novamente os seus documentos a cada prestador. Para a conformidade AML, esta evolución é importante: permitirá una verificación de identidade certificada ao nivel «elevado» directamente durante o proceso de sinatura, sen fricción adicional para o usuario. Os establecementos financeiros que integran hoxe solucións compatibles con eIDAS 2.0 anticipan esta transición e reducen o seu risco regulatorio a medio prazo. A actualización sobre o regulamento eIDAS 2.0 publicada por Certyneo detalla as implicacións concretas para os actores obrigados.

Obrigacións específicas dos actores financeiros en materia de sinatura AML

As entidades obrigadas afectadas

A directiva 2015/849/UE, transposta en dereito francés aos artigos L. 561-1 e seguintes do Código Monetario e Financeiro, define un perímetro amplo de entidades obrigadas á regulación AML: establecementos de crédito, establecementos de pagamento, empresas de seguros de vida, asesores en xestión de patrimonio, axentes inmobiliarios que realicen transaccións superiores a 10 000 €, profesións xurídicas, e dende 2020, os prestadores de servizos sobre activos dixitais (PSAN) agora suxeitos á acreditación CASP baixo o réxime MiCA. Para cada unha destas categorías, a documentación das relacións contractuais por sinatura electrónica trazable é una exixencia implícita decorrente das obrigacións de conservación e proba.

Conservación de datos: articulación RGPD e AML

Unha tensión aparente existe entre a duración de conservación imposida polo AML (5 anos mínimo) e o principio de minimización de datos do RGPD (regulamento UE 2016/679). O CEPD (Comité Europeo de Protección de Datos) aclariu nas súas directrices 4/2022 que a base xurídica da conservación con fins de loita contra a fraude e o branquemento constitúe una excepción xustificada ao dereito ao borramiento, baixo a condición de que os datos conservados sexan estritamente necesarios. A sinatura electrónica, ao arquivar só os metadatos criptográficos e as probas de identidade estritamente necesarias, permite satisfacer simultaneamente aos dous réximes. O uso dun cofre dixital certificado, separado do sistema de xestión documentaria común, é a boa práctica recomendada polo GAFI (Grupo de Acción Financeira) nas súas directrices sobre transformación dixital de 2023.

Sancións e riscos en caso de non-conformidade

As sancións en caso de falta de conformidade AML son significativas. En Francia, a ACPR (Autoridade de Control Prudencial e de Resolución) pode pronunciar sancións pecuniarias ata 100 millóns de euros ou 10 % da facturación anual. En 2025, a ACPR pronunciou sancións totalizando máis de 47 millóns de euros contra actores financeiros, dos cales varios casos implicaban deficiencias na documentación e verificación das entradas en relación. A ausencia de pista de auditoría fiable — que a sinatura electrónica permite precisamente constituír — figuraba entre os agravios retidos en varias decisións públicas.

Boas prácticas para desplegar una sinatura electrónica conforme AML

Integrar a sinatura no fluxo KYC dende o deseño

O enfoque «privacidade por deseño» imposte polo RGPD únese aquí ao enfoque «conformidade por deseño» recomendado polo GAFI. Isto significa que a sinatura electrónica non debe ser engadida como una capa superficial a un proceso existente, senón integrada dende o deseño do percurso cliente. Os fluxos deben ser pensados de xeito que cada etapa xere automaticamente as probas necesarias: certificado de sinatura, informe de auditoría, marcado de tempo cualificado, hash documentario. Os equipos de conformidade deben traballar en conxunto cos equipos IT para definir regras de orquestración claras: que nivel de sinatura para que tipo de documento, que duración de arquivamento, que metadatos conservar.

Escoller un prestador QTSP homologado e auditable

A elección do prestador de sinatura electrónica é estruturante para a conformidade AML. Convén verificar que o prestador figure na lista de confianza nacional (en Francia, xestionada pola ANSSI) e na lista de confianza europea (EU Trust List), que está certificado segundo as normas ETSI EN 319 411 (para as políticas de certificados) e ETSI EN 319 132 (para as sinaturas XAdES), e que dispón dun informe de auditoría anual realizado por un organismo acreditado. A capacidade de exportación das probas nun formato estandarizado (PAdES, XAdES, CAdES) é tamén esencial para permitir a súa utilización no marco de procedementos xudiciais ou investigacións AML. Os establecementos que buscan optimizar o seu dispositivo pueden utilizar o calculador ROI de Certyneo para cuantificar as ganancias de conformidade e eficiencia operacional asociadas á sinatura electrónica.

Formar os equipos e documentar os procedementos

A conformidade AML non remata na tecnoloxía. Os equipos de front-office, responsables de conformidade e xestores de riscos deben estar formados nas especificidades da sinatura electrónica nun contexto AML: comprender os niveis de sinatura, saber interpretar un informe de auditoría, coñecer os procedementos a seguir en caso de contestación. A documentación interna dos procedementos de sinatura — integrada nos manuais de conformidade — é examinada durante os controis da ACPR. Un procedemento claro, probado e actualizado regularmente demostra o compromiso do establecemento nun enfoque de conformidade proactiva.

Marco xurídico aplicable á conformidade AML e á sinatura electrónica

A articulación entre sinatura electrónica e loita contra o branquemento repousa nun corpus regulatorio denso, tanto europeo como nacional.

Regulamento eIDAS nº 910/2014 e eIDAS 2.0 (UE 2024/1183): Estes textos definen os tres niveis de sinatura electrónica (simple, avanzada, cualificada) e as condicións de recoñecemento xurídico mutuo entre Estados membros. O artigo 25 do regulamento eIDAS establece o principio de non discriminación: una sinatura electrónica non pode ser rexeitada como proba en xustiza só polo motivo de que está en forma electrónica. O regulamento eIDAS 2.0, entrado en vigor en maio de 2024, refoza as exixencias de identidade dixital coa introdución da carteira EUDI Wallet.

Código Civil, artigos 1366 e 1367: O artigo 1366 do Código Civil francés recoñece o escrito electrónico como equivalente ao escrito en soporte papel dende que pode ser debidamente identificada a persoa da que emana e establecido nas condicións de natureza a garantir a súa integridade. O artigo 1367 encadra especificamente a sinatura electrónica en dereito francés, remetendo ás condicións fixadas por decreto en Consello de Estado (decreto nº 2017-1416 do 28 de setembro de 2017).

Directivas AML — 4AMLD (2015/849/UE), 5AMLD (2018/843/UE), 6AMLD (2018/1673/UE): Estas directivas impoñen aos entes obrigados obrigacións de verificación de identidade, conservación de documentos durante 5 anos, vixilancia das transaccións e declaración de sospecha á unidade de intelixencia financeira competente (TRACFIN en Francia). A transposición francesa figura aos artigos L. 561-1 a L. 565-1 do Código Monetario e Financeiro.

Paquete AML 2024 da UE: O regulamento UE 2024/1624 (AMLR), aplicable directamente en todos os Estados membros a partir de 2027, e a directiva UE 2024/1640 (AMLD6) harmonicen as regras de diligencia debida e crean a Autoridade Europea de Loita contra o Branquemento (AMLA), cuxa sede está en Frankfurt. Estes textos refucen as exixencias de verificación de identidade por vía electrónica, tornando a conformidade eIDAS aínda máis estratéxica.

RGPD nº 2016/679: O artigo 5 (minimización de datos), o artigo 17 (dereito ao borramiento, coas súas excepcións legais) e o artigo 30 (rexistro das actividades de tratamento) aplícanse plenamente aos tratamentos relacionados coa sinatura electrónica nun contexto AML. A base xurídica de conservación con fins de obrigación legal (artigo 6.1.c do RGPD) xustifica a conservación prolongada dos datos de sinatura.

Normas ETSI: A norma ETSI EN 319 132-1 define os perfís de sinatura electrónica XAdES. A norma ETSI EN 319 102-1 especifica os procedementos de creación e validación de sinatura. Estas normas técnicas son a tradución operacional das exixencias xurídicas eIDAS para os prestadores técnicos.

Riscos de non-conformidade: Alén das sancións pecuniarias da ACPR (ata 100 M€ ou 10 % da facturación), o regulamento AMLR 2024 prevé sancións harmonizadas ao nivel europeo que poden alcanzar o 10 % da facturación mundial consolidada polos incumprimentos máis graves. Os dirixentes tamén pueden ser personalmente implicados, con prohibicións de exercicio previstas polo artigo 42 da directiva AMLD6.

Escenarios de uso: sinatura electrónica e conformidade AML na práctica

Escenario 1 — Onboarding dixital nun establecemento de pagamento acreditado

Un establecemento de pagamento acreditado pola Banque de France, tratando aproximadamente 15 000 novas entradas en relación por mes través da súa aplicación móbil, enfronta exixencias AML estritas para a verificación de identidade dos seus clientes. Antes da implantación dunha solución de sinatura electrónica avanzada integrada no seu percurso de onboarding, o establecemento apoiábase en procesos manuais de verificación documentaria, xerando demoras medias de 72 horas e una taxa de abandono do 34 % durante a suscripción.

Ao desplegar una solución de sinatura electrónica avanzada combinada cunha verificación de identidade biométrica (control de vida + OCR de documento de identidade), o establecemento reducíu o atraso de onboarding a menos de 8 minutos para o 89 % dos casos estándar. A pista de auditoría xerada automaticamente — incluíndo o certificado de sinatura, o informe de verificación biométrica e o marcado de tempo cualificado — responde directamente ás exixencias de conservación AML. A taxa de abandono caíu do 34 % ao 11 %, é dicir, un aumento neto de suscricións finalizadas da orde do 35 %, segundo rangos observados nos informes Juniper Research 2025 sobre banca dixital.

Escenario 2 — Xestión da diligencia debida reforzada nunha sociedade de xestión de carteiras

Unha sociedade de xestión de carteiras que xestiona activos para clientes afortunados (UHNWI — Ultra High Net Worth Individuals) está suxeita a obrigacións de diligencia debida reforzada para a totalidade de súa clientela, sendo una fracción significativa dos seus clientes clasificada como PPE (Persoas Politicamente Expostas). A documentación contractual — mandatos de xestión, cartas de aceptación de risco, informes periódicos asinados — representa varios miles de documentos por ano.

Ao desplegar una solución de sinatura electrónica cualificada para todos os documentos PPE e ao integrar un arquivamento automático nun cofre dixital certificado NF461, a sociedade constituíu una pista de auditoría completa e auditable. Durante un control da ACPR de 48 horas, a totalidade dos expedientes solicitados puido ser producida en menos de 2 horas, contra una media sectorial estimada de 2-3 días segundo os retornos de experiencia publicados pola ACPR no seu informe anual de control 2024. Os equipos de conformidade tamén reducíron en 60 % o tempo dedicado á preparación dos expedientes de control.

Escenario 3 — Conformidade AML para un prestador de servizos sobre activos dixitais (CASP)

Un prestador de servizos sobre activos dixitais (CASP) suxeito ao regulamento MiCA e ás obrigacións AML reforzadas aplicables dende xaneiro de 2026 debe documentar a totalidade das súas relacións contractuais con obrigacións de verificación de identidade equivalentes ás dun establecemento de crédito. Os contratos de utilización da plataforma, os mandatos de conservación e as attestacións de política de investimento deben ser asinados e conservados.

Ao integrar una solución de sinatura electrónica avanzada vía API no seu percurso de inscrición, o CASP puido automatizar a xeración e sinatura dos documentos contractuais dende a validación do KYC. Cada documento asinado é indexado automaticamente no sistema de xestión de conformidade cos seus metadatos criptográficos. Este enfoque permitíu reducir en 80 % as intervencións manuais dos equipos de conformidade nos casos estándar, liberando tempo para o tratamento dos casos de risco elevado que requiren revisión humana.

Conclusión

A conformidade AML e a sinatura electrónica forman agora un binomio imprescindible para calquera actor financeiro operando en Europa en 2026. As directivas anti-branquemento sucesivas, culminando co paquete AML 2024 e a creación da AMLA, elevaron considerablemente o nivel de exixencia en materia de verificación de identidade, trazabilidade documentaria e conservación de probas. A sinatura electrónica — sempre que se implante ao nivel adecuado (avanzada ou cualificada segundo o perfil de risco), integrada dende o deseño dos percursos cliente e apoiada nun prestador QTSP acreditado — responde estructuralmente a estas exixencias. Constitúe ao mesmo tempo un instrumento de conformidade, una alavanca de eficiencia operacional e una ventaxa competitiva na relación cliente dixital.

Certyneo acompaña os actores financeiros, fintechs e sociedades de xestión no despliegue de solucións de sinatura electrónica conformes eIDAS e adaptadas ás exixencias AML. Descubra as nosas ofertas e comece a súa conformidade AML hoxe mesmo.